is is路由渗透

IS-IS路由渗透，渗透这名字听着像某种黑客渗透测试，渗透其实它是渗透网络工程师手里的常规武器。说白了一个词：把level-2的渗透路由信息“泄露”给level-1区域。但就这么个动作，渗透踩坑的渗透人前赴后继。

先讲个真事。渗透某次割接，渗透核心层跑IS-IS，渗透level-2骨干连着三个level-1区域。渗透割接前一切正常，渗透重启一台核心路由器后，渗透某个区域的渗透用户突然访问不了总部服务器。排查半天，渗透发现那台核心路由器上配了路由渗透，渗透但漏了条命令——没把level-1的默认路由指到level-2。结果区域内的路由器只知道本区域的路由，跨区域流量全被丢进黑洞。你说气不气人？就一行配置的事。

路由渗透的本质，是打破IS-IS的分层隔离。level-1路由器像井底之蛙，只看得见自己区域内的路，去别的地方全靠默认路由指向最近的level-1/level-2边界路由器。但边界路由器自己呢？它知道level-2的全部路由，却未必知道其他level-1区域内部的具体路径。这时候如果不做渗透，A区域的设备想去B区域的某台服务器，流量到了边界路由器，边界路由器一看，目标地址不在自己的level-2表里，直接丢弃。所以渗透就是把level-2的明细路由灌进level-1区域，让区域内设备能做出更精确的转发决策。

但渗透不是无脑全量灌。你想想，把几百条level-2路由全塞进level-1区域，那level-1路由器的内存和CPU直接报警。我见过一台老款接入层设备，配置了全量渗透后，路由表从200条暴涨到2000条，转发延迟从毫秒级变成秒级，用户直接骂娘。所以实际部署里，多数人只渗透默认路由，或者用route-policy过滤，只放行关键网段。这就像你在公司只公开各部门的公共电话，而不是把每个员工的手机号都贴墙上。

还有个容易被忽略的细节——渗透的方向。IS-IS支持从level-2到level-1的渗透，也支持从level-1到level-2的渗透。后者通常用于让骨干知道区域内部的特定网段，比如某个区域有个独立服务器群，需要被全网访问。但反向渗透有个副作用：如果区域内有大量动态变化的明细路由，这些路由会不断冲击level-2骨干的LSDB，导致全网SPF计算频繁。我见过某运维团队图省事，把区域内的用户网段全反向渗透到level-2，结果核心路由器CPU尖峰持续了半小时，差点引发全网震荡。

说点个人观察。很多教材把路由渗透讲得太理想化，好像配置几条命令就完事。实际上，渗透策略必须结合网络规模、设备性能、业务流量模型来设计。小型网络里，全量渗透也无所谓，反正路由条数少；但大型网络里，渗透策略直接决定故障半径——你渗透得越细，单个区域的路由变化影响面就越大。我倾向于保守做法：默认只渗透默认路由，需要精确路径时才临时放行特定前缀，并加上tag标记方便后续维护。

最后提醒个隐蔽的坑。IS-IS的渗透不会自动清除旧路由。如果某条level-2路由消失了，但渗透策略里还残留着那条路由的permit规则，level-1区域会一直保留这条“幽灵路由”，直到你手动刷新或重启进程。这问题排查起来特别恶心，因为你看配置没错，看路由表也正常，但流量就是走不通。解决办法是定期检查渗透策略，配合路由的age timer做清理，别让老规则躺在配置里养老。

路由渗透不是炫技，它是把双刃剑。用得好，网络灵活得像活水；用不好，就是你半夜加班的催命符。配置前多想想：这条路由真的需要被全网知道吗？如果答案犹豫了，那就别渗透。